La plupart des programmes de sécurité des endpoints n’échouent pas car les organisations manquent d’outils. Ils échouent car il n’existe pas de cadre pour décider ce qu’il faut prioriser, qui en est propriétaire et comment prouver que la stratégie fonctionne.
Lorsque les endpoints couvrent des appareils gérés, des systèmes OT non gérés et des charges de travail cloud, la propriété fragmentée transforme chaque incident en problème de coordination. Cet article explique comment séquencer les capacités de sécurité des endpoints, concevoir une responsabilité partagée entre les équipes, mesurer les résultats qui comptent et faire évoluer la stratégie à mesure que les environnements changent.
Pourquoi les programmes de sécurité des endpoints échouent avant qu’ils ne démarrent
Une stratégie de sécurité des endpoints est un plan structuré définissant la manière dont une organisation sélectionne et déploie des solutions de sécurité des endpoints pour protéger, surveiller et gérer tous les appareils se connectant à son réseau.
Le plan comprend généralement des politiques pour l’accès aux appareils, la détection des menaces, la gestion des vulnérabilités et la réponse aux incidents. L’objectif est de réduire les risques dans les ordinateurs portables, les serveurs, les appareils mobiles, les charges de travail cloud et les systèmes de technologie opérationnelle (OT).
Le modèle est cohérent : les investissements dans les outils dépassent les cadres organisationnels nécessaires pour les rendre efficaces.
Trois modes de défaillance apparaissent de manière répétée dans les grandes entreprises :
- Propriété fragmentée des outils : les opérations informatiques exécutent la gestion des correctifs et des configurations. La sécurité exécute la détection et la réponse.
- Pas de logique de hiérarchisation : les capacités sont déployées sans justification claire pour lesquelles construire en premier.
- Aucun cadre de mesure : des investissements sont effectués, mais personne ne peut démontrer que la stratégie réduit les risques.
Sur une flotte de cette taille (appareils Windows gérés, systèmes OT non gérés, charges de travail cloud), chaque écart de visibilité ou de propriété devient un point d’entrée potentiel, que ce soit par hameçonnage, vulnérabilités non corrigées ou systèmes mal configurés que les attaquants peuvent exploiter avant que les équipes ne détectent l’activité. Une seule attaque d’hameçonnage réussie peut donner à un adversaire une place sur un endpoint non surveillé. À partir de là, le mouvement latéral dans l’environnement devient beaucoup plus facile.
Le reste de cet article traite directement de chaque mode de défaillance, en commençant par le défi de conception organisationnelle qui sape la plupart des programmes avant qu’ils ne gagnent en traction.
Le problème de conception organisationnelle
Fragments de sécurité des endpoints lorsque les équipes chargées des opérations informatiques et de la sécurité fonctionnent indépendamment. Le service informatique est propriétaire des correctifs, du déploiement de logiciels et de la configuration. La sécurité est responsable de la détection des menaces et de la réponse aux incidents.
Chaque équipe utilise différents outils, voit différentes données et rend compte à différents dirigeants. Dans les organisations disposant d’un centre d’opérations de sécurité (SOC) dédié, cette fragmentation est aggravée lorsque les analystes SOC manquent de visibilité sur les données d’opérations informatiques. Ils ne peuvent pas évaluer si un endpoint marqué a été corrigé ou reconfiguré.
Ce qui suit est prévisible : les retards de transfert pendant les incidents. Litiges sur la question de savoir si un système est corrigé. Priorités concurrentes qui ralentissent la remédiation.
La correction de la fragmentation nécessite des changements structurels, et non une bonne volonté seule. Le cas de l ’unification de l’informatique et de la sécurité est bien documenté. La responsabilité conjointe des mesures partagées signifie que les deux équipes possèdent des taux de couverture des correctifs, des scores de conformité des endpoints et un temps moyen de remédiation.
Lorsqu’une mesure glisse, les deux équipes enquêtent ensemble.
Les tableaux de bord partagés basés sur une vue centralisée des données des endpoints éliminent les rapports contradictoires. Si le service informatique voit un statut de correctif et que la sécurité en voit un autre, la confiance s’érode. Une source unique de vérité élimine cette friction.
Les chemins d’escalade définis pour les conflits prioritaires sont également importants. Lorsque la sécurité souhaite qu’un correctif d’urgence soit déployé immédiatement et que le service informatique a besoin d’une fenêtre de modification pour éviter de perturber la production, un processus d’escalade préétabli empêche l’arrêt de la réponse.
La question de la conception organisationnelle n’est pas « comment amener l’informatique et la sécurité à mieux collaborer ? » Il s’agit de « quel modèle de propriété, quelle architecture de données et quel processus d’escalade font de la collaboration la solution par défaut ? » Une fois cette structure en place, le séquençage devient la prochaine décision stratégique.
Un cadre de séquençage des capacités
Toutes les capacités de sécurité des endpoints n’offrent pas une valeur égale à chaque étape de la maturité du programme. Les construire dans le mauvais ordre crée des lacunes qui sapent les investissements ultérieurs. Le cadre de séquençage ci-dessous est basé sur la logique de dépendance, où chaque capacité dépend de celle qui précède.
Cadre de séquençage des capacités
Vous ne pouvez pas corriger, surveiller ou protéger ce que vous ne voyez pas. La détection des actifs identifie chaque endpoint se connectant à votre environnement, y compris les appareils gérés, les systèmes non gérés et l’informatique fantôme.
À l’échelle de l’entreprise, la découverte d’actifs signifie une découverte continue, et non des analyses périodiques. Il comprend les appareils OT et les appareils IdO (des capteurs de l’atelier aux systèmes de bâtiments intelligents), ainsi que les smartphones, les conteneurs et les charges de travail cloud éphémères que les outils traditionnels manquent souvent.
Cela est particulièrement vrai dans les environnements BYOD (apportez votre propre appareil) où les appareils personnels peuvent ne jamais apparaître dans un système traditionnel de gestion des actifs.
- Appareils gérés
- Systèmes OT / IoT
- Charges de travail cloud
- BYOD
- Conteneurs
Pourquoi le séquençage est important : les taux de couverture des correctifs deviennent insignifiants si 15 % des endpoints ne sont pas en stock. Les capacités en aval dépendent de cette base : sans inventaire complet des actifs, elles finissent par fonctionner sur des données incomplètes.
Chaque étape s’appuie sur la dernière. Le déploiement de capacités hors séquence crée des lacunes qui sapent tout ce qui suit. Obtenir la bonne commande détermine si ces investissements se renforcent ou fonctionnent les uns contre les autres.
Avec des capacités séquencées, le prochain défi consiste à s’assurer que les équipes informatiques et de sécurité fonctionnent à partir des mêmes données.
Établir une propriété partagée et une source unique de vérité
Le modèle organisationnel décrit précédemment ne fonctionne que lorsque les deux équipes fonctionnent à partir des mêmes données. « Est-il corrigé ? » doit être un fait, pas un débat. Une source unique de vérité signifie une couche de données d’endpoint que les deux équipes interrogent.
Idéalement, une console de gestion centralisée offre aux opérations et à la sécurité informatiques une vue unifiée de l’état des endpoints, de la conformité aux politiques et des alertes actives sans passer d’une console à l’autre. La visibilité de l’état actuel de l’endpoint élimine le décalage entre « nous avons déployé le correctif » et « nous avons confirmé qu’il était installé ».
Dans la pratique, la propriété partagée ressemble à l’informatique et à la sécurité qui voient les mêmes données actuelles pour chaque endpoint. Les correctifs automatisés, l’application de la configuration et le routage des alertes suivent les politiques que les deux équipes ont acceptées. Les actions de remédiation des vulnérabilités sont vérifiables, afin que les deux équipes puissent vérifier ce qui s’est passé et quand.
Les données partagées rendent possible la responsabilité partagée. Mais la responsabilité nécessite une mesure.
Mesurer si votre stratégie fonctionne réellement
Le déploiement de capacités n’est pas la même chose que la réduction des risques. Les violations de données, les pénalités réglementaires et les perturbations opérationnelles sont les résultats que les conseils d’administration et les dirigeants essaient de prévenir. Measurement relie votre travail technique à ces préoccupations au niveau de l’entreprise.
Le pourcentage de déploiement de l’agent est la mesure de base. Si ce nombre n’est pas supérieur à 95 %, toutes les autres mesures fonctionnent sur des données incomplètes. Vous ne pouvez pas mesurer la couverture des correctifs sur les endpoints que vous ne pouvez pas voir.
Traduire les indicateurs techniques en langage de réduction des risques aide à générer des rapports pour les cadres. « Taux de couverture des correctifs » devient « pourcentage de vulnérabilités connues clôturées dans le cadre du SLA » dans un rapport du conseil d’administration. « Temps moyen de réparation (MTTR) » devient « temps moyen pour contenir les menaces confirmées ».
Les indicateurs prouvent que la stratégie fonctionne. Ils prennent également en charge le reporting de conformité, qui est l’endroit où la sécurité des endpoints se connecte aux exigences réglementaires.
Connecter la posture de sécurité des endpoints à la conformité
Les cadres de conformité ne demandent pas « avez-vous des outils de sécurité des endpoints ? » Ils demandent « Pouvez-vous démontrer que des contrôles spécifiques sont en place et fonctionnent efficacement ? »
La cartographie des capacités de sécurité des endpoints aux contrôles de cadre simplifie la préparation des audits et le reporting exécutif. Cadres de cybersécurité : un guide simplifié sur la conformité explique comment les contrôles correspondent aux normes courantes. La gestion des correctifs est mappée directement sur CIS Control 7 (Continuous Vulnerability Management) dans CIS Controls v8, et un programme mature de gestion des correctifs avec des taux de couverture mesurables satisfait à ce contrôle.
Les auditeurs attendent des journaux de déploiement des correctifs, des pourcentages de couverture par gravité et des exceptions documentées.
La surveillance continue des endpoints est associée à la fonction Détection du cadre de cybersécurité (CSF) du NIST (DE.CM). La télémétrie des endpoints en temps réel prend en charge la catégorie Surveillance continue.
« Continu » désigne la surveillance en temps réel de l’état des endpoints, et non des analyses périodiques qui laissent des écarts entre les fenêtres de collecte. Les auditeurs font la distinction entre les outils qui fournissent des captures d’écran ponctuelles et les plateformes qui fournissent des données à l’état actuel.
Les conseils d’administration se soucient de la réduction des risques et non des inventaires d’outils. Cadrez les mesures en termes commerciaux : « Nous avons clôturé 94 % des vulnérabilités critiques dans le cadre de notre SLA de 72 heures ce trimestre. » Ou : « Le temps moyen pour contenir les menaces confirmées est passé de 18 heures à 6 heures. »
L’écart entre les « outils déployés » et la « stratégie efficace » est l’endroit où les échecs de conformité se produisent et où les cyberattaques trouvent leur fondement. La mesure comble cet écart en fournissant aux équipes les preuves dont elles ont besoin pour démontrer que les contrôles fonctionnent, plutôt que de se contenter de les déployer. Les exigences de conformité évoluent, tout comme les environnements. Le dernier élément consiste à élaborer une stratégie qui s’adapte.
Comment faire évoluer la stratégie à mesure que votre environnement change
Une stratégie de sécurité des endpoints n’est pas un projet ponctuel. Les environnements évoluent. Les cybermenaces évoluent rapidement et avec sophistication. Les exigences réglementaires changent. La stratégie doit suivre le rythme.
Les examens de stratégie ont du sens au moins une fois par an. Les mener également après des incidents majeurs, des changements environnementaux importants ou de nouvelles exigences réglementaires. Les pratiques de gestion de la sécurité des endpoints peuvent guider ce qu’il faut examiner à chaque étape.
Les leçons tirées de la réponse aux incidents peuvent ajuster les priorités de capacité au-delà des mises à jour du manuel. Si un incident a révélé que l’inventaire des actifs a manqué une classe d’appareils, il s’agit d’un écart de séquençage, et pas seulement d’un écart de processus.
À mesure que le programme mûrit, les outils qui se chevauchent créent de la complexité sans valeur proportionnelle. Évaluez la consolidation lorsque plusieurs outils fournissent une télémétrie similaire sans intégration. Consolidez également lorsque les équipes passent plus de temps à passer d’une console à l’autre que d’enquêter.
Les mesures de stade précoce se concentrent sur la couverture (pourcentage de déploiement des agents, taux de couverture des correctifs). Les programmes matures suivent l’efficacité et la vitesse, comme le temps moyen de détection (MTTD), le MTTR, les tendances des fenêtres d’exposition aux vulnérabilités. Faites évoluer l’accent sur la mesure à mesure que les capacités mûrissent.
L’évolution de la stratégie est un processus de gouvernance avec des propriétaires et une cadence définis, et non une aspiration. Planifier des examens. Attribuer la responsabilité. Documentez les décisions.
Comment Tanium soutient une stratégie de sécurité des endpoints basée sur des informations en temps réel
Une stratégie comme celle-ci dépend de quelques choses qui se passent bien en même temps. Les équipes ont besoin d’une visibilité précise et actuelle sur ce qui fonctionne à grande échelle dans leur environnement. Les opérations informatiques et la sécurité doivent fonctionner à partir des mêmes données au lieu de rapprocher les sorties d’outils distincts.
Les mesures qui prouvent le fonctionnement de la stratégie nécessitent une source de données qui reflète l’état réel du endpoint. Il s’agit notamment du taux de couverture des correctifs, du MTTD et du temps moyen de réponse. Ils ne doivent pas s’appuyer sur les données de la dernière analyse planifiée.
La Tanium Autonomous IT Platform répond à ces exigences via une plateforme unique et unifiée pour la gestion des endpoints, la gestion de l’exposition et les opérations de sécurité. Il fournit une découverte et un inventaire des actifs en temps réel, donnant aux équipes une base actuelle de ce qui existe, de ce qui est en cours d’exécution et de l’état dans lequel il se trouve. Étant donné que les opérations informatiques et la sécurité partagent la même plateforme et les mêmes données, les équipes évitent les retards de transfert et les informations contradictoires.
Trois capacités Tanium clés aident à prendre cela en charge directement :
- Visibilité en temps réel comme point de départ : l’architecture de chaîne linéaire de Tanium interroge les endpoints en quelques secondes (aucun échantillonnage, aucune analyse obsolète), afin que les équipes puissent évaluer l’état des actifs à l’aide de données en temps réel.
- Une plateforme partagée pour les équipes chargées des opérations informatiques et de la sécurité : une plateforme unique réduit la fragmentation et accélère la réponse en permettant aux équipes d’opérer à partir des mêmes données.
- Données continues pour des mesures significatives : l’intelligence en temps réel des endpoints prend en charge des mesures précises sans retard d’analyse.
Et cela se traduit directement par un impact opérationnel. Best Buy, par exemple, gère environ 120 000 endpoints en utilisant Tanium parallèlement à Microsoft, avec une réduction signalée de près de 20 % du délai moyen de résolution pour les événements actifs.
À mesure que les environnements d’endpoints deviennent plus distribués, la base de toute stratégie efficace reste la même : les données actuelles et le contexte partagé. Cette base transforme la sécurité continue des endpoints de l’aspiration à la réalité opérationnelle. Agir sur ces données sans changer de console ni attendre les analyses est ce qui le rend possible.
Foire aux questions sur l’élaboration d’une stratégie efficace de sécurité des endpoints
Les questions ci-dessous traitent des points de décision courants qui surviennent lorsque les organisations passent de la planification à la mise en œuvre. Ils se concentrent sur le séquençage, la sélection des outils et la clarification de la terminologie qui est souvent confondue dans le marketing des fournisseurs.
Quelles sont les trois étapes principales de la sécurité des endpoints ?
Les trois étapes fondamentales sont la découverte et l’inventaire des actifs, la gestion des vulnérabilités et des correctifs, et l’application de la configuration.
Qu’est-ce qu’une technique de sécurité des endpoints couramment utilisée ?
La détection et la réponse des endpoints, ou EDR, surveillent l’activité des endpoints en temps réel pour identifier les comportements suspects et prendre en charge les enquêtes. Il fonctionne mieux lorsqu’il est construit sur une visibilité complète des actifs et une surface d’attaque réduite grâce à l’application de correctifs.
Quelle est la différence entre EDR et XDR ?
L’EDR surveille l’activité des endpoints pour détecter et répondre aux menaces. Les plateformes de détection et de réponse étendues (XDR) intègrent la télémétrie des endpoints, des réseaux et des charges de travail cloud pour une corrélation plus large des menaces.
Comment choisissez-vous un outil EDR ?
La sélection des outils dépend de si votre organisation a établi d’abord un inventaire complet des actifs et une couverture des correctifs. L’EDR fonctionne mieux lorsqu’elle est construite sur une base de visibilité précise et de surface d’attaque réduite, et non en remplacement de l’hygiène de sécurité de base.
L’élaboration d’une stratégie de sécurité des endpoints qui fonctionne à l’échelle de l’entreprise nécessite plus que le déploiement de technologies. Cela nécessite des capacités de séquençage, la conception d’une propriété partagée entre l’informatique et la sécurité, la mesure des résultats et l’évolution de la stratégie à mesure que les conditions changent.
Les organisations qui réussissent fonctionnent avec plus de confiance. Ils peuvent prouver que leur stratégie réduit les risques, et non pas seulement consomme du budget.
Planifiez une démo pour voir comment la visibilité et le contrôle en temps réel des endpoints de Tanium prennent en charge la stratégie de sécurité des endpoints à grande échelle.
